Kişisel Verileri Koruma Kurulu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş için kullanılan diğer iletişim kanallarını denetlerken uyması gereken kuralları belirleyen ilke kararını yayımladı. 16 Eylül 2026 tarihli ve 2026/2035 sayılı karar, 8 Ekim'de kamuoyuna duyuruldu.
Kurul, kurumsal hesabın veya iletişim aracının işverene ait olmasının sınırsız denetim yetkisi vermediğini vurguladı. E-posta içerikleri kadar trafik ve log kayıtlarının incelenmesi de kişisel veri işleme faaliyeti sayılıyor. Bu nedenle denetimin 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki işleme şartlarına, genel ilkelere, aydınlatma ve veri güvenliği yükümlülüklerine uygun yürütülmesi gerekiyor.
Kararın arka planında, iletişim kanallarının izlendiği, yazışma içeriklerine erişildiği ve elde edilen verilerin disiplin veya iş sözleşmesinin sona erdirilmesi süreçlerinde kullanıldığı yönündeki ihbar ve şikayetler bulunuyor. Kurul, bazı uygulamalarda çalışanların denetim hakkında yeterli, açık ve somut şekilde bilgilendirilmediğini tespit ettiğini açıkladı.
Çalışan önceden ve somut biçimde bilgilendirilmeli
Karara göre çalışan, denetimin hukuki sebebi, amacı, kapsamı ve yöntemi hakkında önceden bilgilendirilmeli. Bilgilendirmede yalnız trafik veya log kayıtlarının mı inceleneceği, hangi durumlarda yazışma içeriğine erişilebileceği, verilerin kimlere aktarılabileceği ve ne kadar süre saklanacağı açık, anlaşılır ve somut biçimde belirtilmeli.
“Kurumsal e-posta işveren tarafından denetlenebilir” şeklindeki genel bir ifade tek başına yeterli kabul edilmiyor. KVKK, önceden bilgilendirme ile Kanun'un 10'uncu maddesindeki aydınlatma yükümlülüğünün aynı şey olmadığını; her iki yükümlülüğün de somut olayın özelliklerine göre ayrıca değerlendirilmesi gerektiğini belirtiyor.
İçerik incelemesi son aşama olmalı
Denetimde kademeli yöntem benimsenmesi gerekiyor. Kurulun yaklaşımına göre amaç yalnız trafik verileri veya daha az müdahaleci yöntemlerle gerçekleştirilebiliyorsa doğrudan yazışma içeriğine erişilmemeli. İçerik incelemesi, somut bir şüphe ya da belirli olayla bağlantılı meşru bir amaç bulunduğunda ve daha hafif yöntemlerin yetersiz kaldığı istisnai durumlarda gündeme gelmeli.
Kapsamı belirsiz, genel ve sürekli içerik denetiminden kaçınılması isteniyor. Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemleri ayrım yapmadan kaydeden araçların hukuka aykırı sayılacağı belirtiliyor. Denetim belirli, açık ve meşru bir amaçla bağlantılı, sınırlı ve ölçülü olmalı.
Teknik erişim hukuki yetki anlamına gelmiyor
İşverenin cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik erişim imkanına sahip olması; çalışanın kişisel e-posta hesabı, özel anlık mesajlaşma uygulaması veya sosyal medya mesaj kutusuna serbestçe erişebileceği anlamına gelmiyor. Kurul, teknik erişim yetkisiyle hukuki erişim yetkisinin birbirinden ayrılması gerektiğini açıkça ifade ediyor.
İşverenler, iletişim araçlarının iş amaçlı veya özel amaçlı kullanımına ilişkin kurallar koyabilecek. Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekiyor. Özel kullanım yasaklansa bile denetim yetkisi ölçülülük ilkesiyle sınırlı kalıyor; iş ve özel kullanımın kesin biçimde ayrılamadığı durumlarda denetim kapsamının daha dar değerlendirilmesi isteniyor.
Veri güvenliği ve iş ilişkisinin sona ermesi
Denetim sonucu elde edilen verilere erişimin yalnız görevli ve yetkili sınırlı sayıdaki personelle tutulması, erişim kayıtlarının saklanması ve gizlilik yükümlülüklerinin güvence altına alınması gerekiyor. Veriler yalnız denetim amacının gerektirdiği süre boyunca muhafaza edilmeli. İş ilişkisinin sona ermesi de eski çalışanın e-posta verilerinin süresiz işlenmesine otomatik dayanak oluşturmuyor.
KVKK, yükümlülüklere aykırılık tespit edildiğinde olayın özelliklerine göre inceleme yapılacağını ve Kanun'un 18'inci maddesi kapsamında veri sorumluları hakkında idari işlem uygulanabileceğini bildirdi. Karar, her denetimi tamamen yasaklamıyor; işverenin meşru yönetim ihtiyacı ile çalışanın özel hayatı, haberleşme özgürlüğü ve kişisel verilerinin korunması arasında ölçülü bir denge kurulmasını şart koşuyor.
